Une faille XSS permet d'injecter un script dans une page vue par d'autres utilisateurs. La défense principale est d'échapper les données à l'affichage selon leur contexte. Blade échappe par défaut avec {{ }} ; la syntaxe {!! !!} désactive l'échappement et ne doit servir qu'avec du contenu de confiance.
Exemple
{{ $commentaire }} {{-- échappé --}}